La sicurezza cibernetica non è un concetto, un problema, solamente tecnico, ma intrinsecamente politico. La sicurezza di uno Stato, della sua economia, delle sue infrastrutture critiche, democratiche, cognitive e industriali passa dalla capacità di coniugare la sicurezza cibernetica e le competenze tecniche di questa alla visione politica, strategica e dottrinale che guidano i vertici dello Stato, i consiglieri, gli analisti e le agenzie di sicurezza e informazione. Questo ciò che emerge dalla lettura del documento strategico annuale del National Security Cyber Center britannico.

L’economia sotto attacco

Il NCSC Annual Review 2025 fotografa con precisione chirurgica la nuova anatomia del rischio digitale. In un solo anno, riporta il documento, quasi la metà degli incidenti gestiti dal centro britannico ha avuto rilievo nazionale, e il 4% è stato classificato come “altamente significativo”, un incremento del 50% rispetto all’anno precedente. Dati che mostrano come la sicurezza informatica rappresenti oggi una variabile macroeconomica. L’interruzione delle filiere produttive dopo gli attacchi a Marks & Spencer e alla Co-op non è un dettaglio tecnico, ma un riflesso di come gli attacchi siano mirati e mirino ai sistemi produttivi, alla logistica e alla fiducia dei consumatori.

Geopolitica del ransomware

Nel documento del NCSC, la Cina emerge come attore “sofisticato e capace”, con botnet globali e aziende di facciata; la Russia continua a usare il cyberspazio come prolungamento del conflitto in Ucraina; l’Iran e la Corea del Nord sfruttano l’hacking per finanziare le proprie economie e aggirare le sanzioni. Tutto questo, secondo il documento, contribuisce a delineare la multipolarità del rischio, dove la tecnologia diventa strumento di pressione, sabotaggio e ricatto, leva negoziale e strumento di potere geopolitico.
A questo scenario, il Regno Unito risponde con il Pall Mall Process, un tentativo di scrivere una sorta di “Trattato di non proliferazione cibernetica” che riunisca 26 Stati intorno a un codice di condotta contro l’abuso degli strumenti di intrusione commerciale.

Il fattore umano come infrastruttura critica

Il cuore politico del rapporto sta nel concetto di “don’t wait for the breach”. Qui il NCSC affronta una dimensione spesso ignorata: la psicologia del rischio. Molte aziende, soprattutto piccole e medie, non agiscono a causa di bias cognitivi come l’ottimismo (“non capiterà a noi”), la distanza linguistica tra tecnici e dirigenti, la sottovalutazione delle conseguenze economiche.

Per questo Londra propone una Cyber Governance Code of Practice e una formazione specifica per consigli di amministrazione, con l’obiettivo di portare la cyber-sicurezza dai server alle sale dei CdA. La sicurezza, scrive il rapporto, “non è più un tema specialistico e IT, ma una condizione di sopravvivenza organizzativa”.

L’IA è il moltiplicatore del rischio

Nel 2025, gli attori malevoli non inventano nuovi attacchi con l’intelligenza artificiale, ma la usano per renderli più efficaci.  Gli algoritmi generativi scrivono phishing più convincenti, scansionano vulnerabilità, automatizzano intrusioni.
Anche qui, il NCSC propone strumenti di contrasto che mirino ad una risposta simmetrica. Usare l’IA non solo per difendersi, ma per anticipare. Se è superficie d’attacco può essere superficie di difesa. Il punto secondo le autorità britanniche, non è più reagire, ma prevedere. E in questo, l’intelligenza artificiale può diventare tanto uno strumento di difesa quanto un acceleratore di minacce.

Dal rischio alla cultura del rischio

Il messaggio finale del NCSC abbraccia la necessità di una cultura della resilienza: accettare che la vulnerabilità è parte strutturale del progresso digitale, e che solo una società consapevole può trasformarla in vantaggio competitivo. “Outcompeting adversaries in insight and agility”, scrive il rapporto. Tradotto, “battere gli avversari non sulla forza, ma sull’intelligenza e sulla velocità”. È la nuova dottrina britannica del potere digitale e, forse, il modello con cui ogni democrazia dovrà misurarsi nei prossimi anni.